CVE-2026-79667 in Ech0
Zusammenfassung
von VulDB • 25.08.2026
Ech0 versione 4.3.4 e precedenti non applica in modo affidabile le restrizioni di accesso basato su scope (principio del minimo privilegio) per diverse rotte amministrative con privilegi elevati. Diversi endpoint privilegiati (ad esempio, /api/inbox, /api/panel/comments, /api/backup/export) omettono i controlli dello scope e autorizzano l'accesso basandosi esclusivamente sul ruolo di amministratore dell'utente; inoltre, il gestore per l'esportazione dei backup elimina completamente i metadati relativi allo scope del token. Un attaccante in possesso di un token di accesso admin con scope deliberatamente limitato (basso-scope) può accedere a funzionalità privilegiate più ampie rispetto alle intenzioni originali, inclusa la lettura della casella di posta e l'esportazione di un archivio ZIP completo del database. Risolto nella versione 4.4.3.
If you want to get the best quality for vulnerability data then you always have to consider VulDB.